Konfiguration¶

Das Menü „Konfiguration“ bietet Zugriff auf die Attribute, die Domänen, die Benutzer, die Gruppen, den Import, die Zuordnungen zwischen Rahmenwerken, die Einstellungen und die Logs.

Attribute¶

Mit dieser Ansicht werden die den Sicherheitsmaßnahmen zugeordneten Attribute verwaltet. Sie enthält die Liste der Attribute und ermöglicht es, Attributlisten zu erstellen, zu löschen oder zu ändern.

Nur Administratoren verfügen über eine Schaltfläche „Verwalten“, die ein Formular öffnet, mit dem ein bestehender Attributwert global durch einen neuen Wert ersetzt werden kann. Die Ersetzung gilt überall dort, wo der Wert verwendet wird: in den Attributlisten, in den Sicherheitsmaßnahmen sowie in den noch nicht durchgeführten Kontrollen. Bereits durchgeführte Kontrollen werden nicht geändert, da sie eine Historie darstellen.

Domänen¶

Mit dieser Ansicht können Listen von Sicherheitsdomänen erstellt, geändert oder gelöscht werden.

Die Anwendung wird mit einer an die Norm ISO 27001:2022 angelehnten Basis von Sicherheitsmaßnahmen ausgeliefert, es ist aber möglich, neue Sicherheitsdomänen auf Grundlage anderer Normen wie PCI DSS, HDS usw. zu definieren.

Benutzer¶

Die Benutzer werden direkt in der Anwendung definiert.

Ein Benutzer besteht aus einem Login, einem Namen, einem Titel, einer Rolle, einer E-Mail-Adresse, einer Sprache, einem Passwort und der Liste der ihm zugewiesenen Kontrollen. Die Sprache wird für die Benutzeroberfläche, die Benachrichtigungen und die erzeugten Dokumente verwendet.

Es gibt sechs verschiedene Rollen:

Administrator: Der Administrator kann Benutzer, Maßnahmen und Attribute erstellen und bereits durchgeführte Kontrollen ändern.
User: Benutzer können die Anwendung verwenden, ohne die Maßnahmen, die Attribute und die bereits durchgeführten Kontrollen ändern zu können.
Auditierte: Auditierte können nur die Kontrollen durchführen und sehen, die ihnen zugewiesen sind oder die sie zuvor durchgeführt haben (siehe Delegation).
Auditor: Der Auditor hat Lesezugriff auf alle Informationen der Anwendung. Der Auditor kann den KI-Agenten nicht verwenden.
API: Konto für den Zugriff auf die API.
Deaktiviert: Das Konto bleibt erhalten, damit seine Historie bewahrt wird, kann sich aber nicht mehr anmelden.

Die Schaltfläche „Historie“ der Benutzeranzeige zeigt die Änderungshistorie dieses Benutzers an.

Gruppen¶

Mit dieser Ansicht werden Benutzergruppen definiert. Eine Gruppe fasst eine Reihe von Benutzern und Kontrollen zusammen.

Eine Gruppe besteht aus:

einem Gruppennamen
einem Typ: Fachbereich oder Sicherheit (nur durch einen Administrator änderbar)
einer Beschreibung der Gruppe
einer Liste von Benutzern
einer Liste von Kontrollen

Der Gruppentyp unterscheidet in der Ansicht Steuerung die Kontrollen, die vom Sicherheitsteam getragen werden, von denen der anderen Fachbereiche.

Im Formular werden nur die noch nicht durchgeführten Kontrollen angeboten; durchgeführte oder vorgeschlagene Kontrollen bleiben beim Ändern der Gruppe mit ihr verknüpft.

Reports¶

Diese Ansicht steht Administratoren und Benutzern zur Verfügung. Mit ihr werden der ISMS-Steuerungsbericht, die Erklärung der Anwendbarkeit und die Datenexporte erzeugt.

ISMS-Steuerungsbericht: Wählen Sie ein Rahmenwerk (optional) und einen Zeitraum und klicken Sie dann auf „Erstellen“. Ein Word-Dokument wird auf Grundlage der Vorlage des Steuerungsberichts erzeugt.

Hier ist der ISMS-Steuerungsbericht:

Erklärung der Anwendbarkeit (SoA): erzeugt eine Excel-Datei, die für jede Domäne und jede Klausel die Sicherheitsmaßnahmen und das Planungsdatum ihrer Kontrollen für jeden Geltungsbereich auflistet.

Daten exportieren: exportiert die Benutzer, die Domänen, die Attribute, die Sicherheitsmaßnahmen, die Kontrollen, die Aktionspläne und die Risikoliste in Excel-Dateien.

Import¶

Sicherheitsmaßnahmen können aus einer .XLSX-Datei oder aus der Vorlagendatenbank importiert werden.

Beim Import können alle anderen Kontrollen und Maßnahmen gelöscht und Testdaten erzeugt werden.

Einstellungen¶

Die Seite „Einstellungen“, die Administratoren vorbehalten ist, fasst die Einstellungen der Anwendung in Registerkarten zusammen:

Dokumente: die Prüfung der Dokumente und ihre Aufbewahrungsdauer;
Vorlagen: die Dokumentvorlagen;
Scoring: die Konfiguration der Risikobewertung;
KI: die Konfiguration des KI-Agenten;
Benachrichtigungen: die an die Benutzer gesendeten Benachrichtigungen.

Jede Registerkarte hat ihre eigenen Schaltflächen. Nach dem Speichern kehrt die Seite zur geänderten Registerkarte zurück.

Dokumente¶

Die Registerkarte „Dokumente“ der Seite Einstellungen dient zur Prüfung der in Deming gespeicherten Dokumente und zur Konfiguration ihrer Aufbewahrungsdauer.

Speicher¶

In diesem Teil der Registerkarte kann die Integrität der in der Anwendung gespeicherten Dokumente überprüft werden.

Durch Klicken auf „Prüfen“ startet Deming die Integritätsprüfung der in der Anwendung gespeicherten Dokumente mithilfe eines CRC32.

Aufbewahrung¶

In diesem Teil der Registerkarte wird die Aufbewahrungsdauer (in Monaten) der in der Anwendung durchgeführten Kontrollen konfiguriert.

Alle Kontrollen, die vor dieser Dauer durchgeführt wurden, werden zusammen mit den zugehörigen Dokumenten, Aktionsplänen und Logs gelöscht.

Wenn Sie klicken auf:

„Sichern“ – die Aufbewahrungsdauer wird gespeichert;
„Testen“ – Deming zeigt die Anzahl der Logs, Dokumente und Kontrollen an, die gelöscht würden, ohne sie zu löschen;
„Löschen“ – nach Bestätigung wird die Löschung sofort durchgeführt.

Die Löschung erfolgt außerdem automatisch durch Ausführen des Befehls

php artisan deming:cleanup

über einen Cron-Job.

Vorlagen¶

Mit der Registerkarte „Vorlagen“ der Seite Einstellungen werden die Dokumentvorlagen für die Kontrollblätter und den ISMS-Steuerungsbericht geändert.

Die Registerkarte enthält zwei Blöcke, „Kontrollblatt“ und „Lenkungsbericht“. Jeder Block bietet:

einen Link zum Herunterladen der Standardvorlage;
einen Link „Benutzerdefiniertes Modell“ zum Herunterladen der angepassten Vorlage, sofern vorhanden;
ein Feld zum Hochladen einer neuen Vorlage (.docx), die die angepasste Vorlage ersetzt.

Die hochgeladenen Vorlagen werden mit „Sichern“ gespeichert.

Die Vorlage des Steuerungsberichts ist ein Word-Dokument (.docx), dessen Platzhalter bei der Erzeugung des Berichts ersetzt werden. Das neben den Vorlagen angezeigte Feld „Platzhalter der Vorlage“ listet die verfügbaren Platzhalter auf; ein Klick auf einen Platzhalter kopiert ihn in die Zwischenablage. Der Teil „Verfügbare Spalten“ listet für jede Tabelle die Spalten auf, die in den benutzerdefinierten Tabellen verwendet werden können.

Variablen: ${today}, ${start_date}, ${end_date}, ${framework} sowie die vordefinierten Tabellen ${control_table}, ${kpi_table}, ${made_control_table} und ${action_plans_table}.
Benutzerdefinierte Tabellen: ${table:<tabelle>:<spalte>[=Überschrift],...[|option]}, wobei <tabelle> eine der Tabellen domains, controls, measures, actions, risks, exceptions, attributes, users oder user_groups ist. Der Platzhalter muss allein in seinem Absatz stehen. Die verfügbaren Optionen sind period:<spalte> (Zeilen innerhalb des Berichtszeitraums), where:<spalte>=<wert> (Filter, != und null sind zulässig), order:[-]<spalte> (Sortierung, - für absteigende Reihenfolge) und limit:<n>.

Beispiel:

${table:actions:reference,name,owners,due_date|where:status=0|order:due_date}

KI¶

Die Registerkarte „KI“ der Seite Einstellungen, die Administratoren vorbehalten ist, dient zum Aktivieren und Konfigurieren des KI-Agenten, der Sicherheitsmaßnahmen, Kontrollen, Aktionspläne und Risiken analysiert: Aktivierung, URL des Agenten, API-Schlüssel, Liste der verfügbaren Aufgaben, Verbindungstest und Löschen aller Analysen. Prompts und Modelle werden vom Anbieter des Agenten, dem Sourcentis-KI-Gateway, verwaltet. Die KI ist standardmäßig deaktiviert.

Siehe Aktivieren und konfigurieren und vor jeder Aktivierung Datenschutz.

Benachrichtigungen¶

Mit der Registerkarte „Benachrichtigungen“ der Seite Einstellungen werden die Benachrichtigungen konfiguriert, die an die Benutzer gesendet werden, wenn sie Kontrollen durchführen müssen.

Die Registerkarte enthält zwei Blöcke.

SMTP-Server: der Server für den Versand der E-Mails.

Server und Port;
Verschlüsselung (keine, SSL oder TLS) und automatisches STARTTLS;
Authentifizierung, Benutzer und Passwort;
die optionale DKIM-Signatur: Domäne, Selektor, Pfad des privaten Schlüssels und Passphrase.

Diese Einstellungen werden in der Datenbank gespeichert. Das Passwort und die DKIM-Passphrase werden mit dem Anwendungsschlüssel (APP_KEY) verschlüsselt und nie wieder angezeigt: Ein leeres Feld behält den gespeicherten Wert, das Kästchen „Löschen“ entfernt ihn. Ändert sich der APP_KEY, müssen sie erneut eingegeben werden.

Benachrichtigungen: Inhalt und Häufigkeit der E-Mails.

der Absender der E-Mail;
Betreff und Inhalt der an den Benutzer gesendeten E-Mail;
die Periodizität des Versands der Benachrichtigungen;
die Frist: Kontrollen, die innerhalb dieser Frist fällig werden, werden gemeldet.

Wenn Sie klicken auf:

„Sichern“ – die Konfiguration wird gespeichert;
„Testen“ – eine Test-E-Mail wird mit den eingegebenen Werten (ohne sie zu speichern) an den aktuellen Benutzer gesendet;
„Abbruch“ – Sie kehren zur Hauptseite zurück.

Logs¶

Diese Ansicht, die über das Menü „Konfiguration“ erreichbar ist, listet – vom neuesten zum ältesten – alle Änderungen an den Sicherheitsmaßnahmen, den Kontrollen, den Aktionsplänen, den Risiken, den Benutzern und der Konfiguration sowie die An- und Abmeldungen auf: Aktion (Erstellung, Änderung, Löschung, Anmeldung, Abmeldung), Typ und Kennung des Objekts, Benutzer, IP-Adresse und Datum.

Wenn Sie klicken auf:

die Kennung eines Eintrags oder die Schaltfläche „Anzeigen“, wird das Detail der Änderung mit allen Daten des Objekts zu diesem Zeitpunkt angezeigt;
die Kennung eines Objekts, wird dieses Objekt angezeigt;
die Schaltfläche „Historie“, wird die Änderungshistorie dieses Objekts angezeigt.

Hier ist das Detail einer Änderung:

Die Änderungshistorie zeigt die aufeinanderfolgenden Werte des Objekts in Spalten an:

Die Änderungshistorie eines Objekts ist auch über die Schaltfläche „Historie“ der Ansichten einer Kontrolle, eines Risikos oder eines Benutzers erreichbar.

Logs, die älter als die Aufbewahrungsdauer sind, werden durch den Befehl deming:cleanup gelöscht.